Tre linee, un’unica visione: cosa cambia con il nuovo Three Lines Model

L’8 luglio 2026 lo IIA ha pubblicato due statement of position rivisti: uno sul Three Lines Model, l’altro sul ruolo dell’audit interno nella gestione del rischio aziendale (enterprise risk management). Entrambi sostituiscono i precedenti documenti di posizione e spostano l’accento da una rigida separazione a un coordinamento tra le linee. Per i responsabili di governance, rischio e conformità, la domanda è dove passi concretamente, nell’operatività quotidiana, il confine tra management, seconda linea e audit interno.

Cosa cambia esattamente l’8 luglio 2026?

In quella data lo IIA ha pubblicato due nuovi statement of position che sostituiscono i precedenti documenti di posizione sul Three Lines Model e sul ruolo dell’audit interno nella gestione del rischio aziendale.

Il Three Lines Model rivisto si rivolge principalmente al consiglio di amministrazione e sottolinea la responsabilità di ciascun ruolo organizzativo per il proprio specifico contributo alla governance e alla gestione del rischio. In quanto quadro di riferimento modernizzato, è concepito per restare abbastanza flessibile da applicarsi a organizzazioni con strutture, contesti di rischio e livelli di maturità diversi, come precisa lo IIA nei suoi statement of position.

Al tempo stesso, il documento ribadisce che devono essere in atto salvaguardie adeguate per il Chief Audit Executive ogniqualvolta questo ruolo assuma compiti di seconda linea. Tali salvaguardie sono intese a proteggere l’indipendenza dell’audit interno e l’obiettività degli auditor.

Dove passa il nuovo confine tra management e seconda linea?

La prima linea resta il proprietario del rischio: il management possiede e gestisce il rischio e ne è responsabile, come indicato nel PDF ufficiale del documento.

Il testo in sé non fornisce una definizione definitiva della seconda linea, ma i titoli delle sezioni pubblicate sugli scenari di attuazione indicano una maggiore flessibilità rispetto alle versioni precedenti. Il documento riconosce che i ruoli tra le tre linee possono sovrapporsi nella pratica, e offre indicazioni su come gestire tali situazioni piuttosto che escluderle per principio.

Le organizzazioni che ammettono tali sovrapposizioni dovrebbero documentare l’attribuzione delle responsabilità in modo da rendere visibili eventuali scostamenti tra la responsabilità assegnata e quella effettivamente esercitata, un’idea coerente con l’utilizzo del ritardo di governance come indicatore nel registro dei rischi.

• Attribuzione trasparente e documentata delle responsabilità
• Revisione indipendente delle attività che comportano un rischio di autovalutazione o di supervisione
• Approvazione esplicita da parte del consiglio di amministrazione per i mandati ampliati
• Comunicazione tempestiva delle minacce effettive o percepite all’obiettività

Cosa può fare, e non fare, l’audit interno all’interno del ciclo ERM?

Lo statement sull’ERM descrive la gestione del rischio aziendale come un insieme coordinato di cinque attività, identificare, valutare, gestire, monitorare e rendicontare, alle quali l’audit interno contribuisce tramite attività di assurance e di consulenza, senza assumersene la responsabilità.

Un’analisi tecnica di Symbiant rileva che l’audit interno può fornire consulenza o assurance su ciascuna delle cinque attività, ma non deve determinare l’approccio del management, definire le priorità delle risposte, implementare controlli o assumere la titolarità della rendicontazione del rischio. Nella pratica, questa linea di demarcazione determina se un’attività di audit resta assurance o è di fatto diventata gestione.

Secondo il documento, anche altre funzioni e ruoli sostengono gli sforzi di assurance e consulenza dell’organizzazione. Ciò è coerente con il principio secondo cui la gestione del rischio è al servizio del raggiungimento degli obiettivi e non fine a se stessa, motivo per cui la responsabilità delle decisioni sul rischio deve restare in capo a chi è responsabile dell’obiettivo.

Perché l’audit interno resta l’integratore e non una linea tra le altre?

Il modello ribadisce il ruolo dell’audit interno quale integratore dell’assurance, che fornisce al consiglio di amministrazione una visione complessiva a livello di organizzazione, indipendentemente dal numero di funzioni che contribuiscono all’assurance.

Un articolo tecnico su Tandfonline rileva che le responsabilità fondamentali sono mantenute negli statement del 2026, ma coordinamento, affidamento (reliance) e assurance integrata ricevono un peso nettamente maggiore rispetto alla versione del 2020. La ridenominazione da Three Lines of Defense a Three Lines Model, avvenuta già nel 2020, aveva secondo Accounting Today attenuato l’orientamento puramente difensivo, dando maggiore rilievo alla capacità di cogliere le opportunità nell’ambito di un processo decisionale basato sul rischio.

Il nuovo statement sull’ERM è vincolante?

No: un commentatore, scrivendo il 16 luglio 2026, definisce il documento come un position paper che riflette il punto di vista dello IIA ma non costituisce un requisito vincolante.

Per le funzioni di governance, rischio e conformità, ciò significa che gli statement offrono un orientamento utile a chiarire i rispettivi ruoli, ma non comportano alcun obbligo di certificazione. Le organizzazioni che rivedono i confini tra le tre linee dovrebbero comunque confrontare il proprio modello di governance con le salvaguardie descritte, poiché ciò rende più agevole verificare l’indipendenza.

Come dovrebbero procedere ora i responsabili GRC?

Il primo passo consiste nel fare un bilancio di quali compiti di seconda linea l’audit interno già svolge oggi nella pratica, e se le salvaguardie indicate nel documento siano documentate per tali compiti.

Questo bilancio dovrebbe essere condotto dal responsabile dell’audit interno insieme al Chief Risk Officer o al responsabile della conformità, e riportato al consiglio di amministrazione prima dell’assegnazione di nuovi mandati. Laddove i ruoli si sovrappongono già, vale la pena esaminare le nuove interfacce, ad esempio dove sorgono ulteriori compiti di audit e consulenza, una questione che si pone anche quando ci si chiede se la governance dell’IA si stia fondendo con il GRC o resti un ambito separato.

FAQ

Domande frequenti

Chi resta responsabile del rischio secondo il Three Lines Model rivisto?

La prima linea, ossia il management, resta il proprietario del rischio e ne mantiene la responsabilità. Il Three Lines Model rivisto non modifica questo aspetto, ma richiede un coordinamento più stretto e salvaguardie documentate ogniqualvolta l’audit interno assuma compiti di seconda linea.

Quali salvaguardie richiede lo IIA quando l’audit interno assume compiti di seconda linea?

Il documento indica quattro salvaguardie: attribuzione trasparente e documentata delle responsabilità, revisione indipendente delle attività che comportano un rischio di autovalutazione o di supervisione, approvazione esplicita da parte del consiglio di amministrazione per i mandati ampliati, e comunicazione tempestiva delle minacce effettive o percepite all’obiettività, in modo da preservare l’indipendenza e l’obiettività degli auditor.

L’audit interno può prendere decisioni sul rischio all’interno del ciclo ERM?

No. L’audit interno può contribuire con attività di assurance e consulenza a tutte e cinque le attività dell’ERM: identificare, valutare, gestire, monitorare e rendicontare. Non deve determinare l’approccio del management, definire le priorità delle risposte, implementare controlli o assumere la titolarità della rendicontazione del rischio.

Quale ruolo mantiene l’audit interno rispetto alle altre funzioni di assurance?

L’audit interno resta l’integratore dell’assurance e fornisce al consiglio di amministrazione una visione complessiva a livello di organizzazione, indipendentemente dal numero di altre funzioni che contribuiscono all’assurance. Questo ruolo lo distingue dalle altre linee, anche se nel modello rivisto coordinamento e affidamento (reliance) assumono un peso nettamente maggiore rispetto al passato.

Le organizzazioni sono tenute ad applicare gli statement IIA rivisti?

No, gli statement sono documenti di posizione che riflettono il punto di vista dello IIA ma non sono vincolanti e non comportano alcun obbligo di certificazione. I responsabili GRC possono utilizzarli come orientamento per chiarire i propri ruoli e confrontare il proprio modello di governance con le salvaguardie descritte, senza che ciò generi alcun obbligo di conformità.

Fonti

1. Statements of Position for Internal AuditingIIA
2. Internal audit and risk managementNorman Marks on Governance, Risk Management, and Internal Audit